CVE-2026-100844 in MONAI
Resumen
por VulDB • 2026-09-27
MONAI anterior a la versión 1.6.0 es vulnerable a inyección de comandos del sistema operativo (OS command injection) en el componente nnUNetV2Runner (monai.apps.nnunet.nnunetv2_runner). Los valores controlados por el usuario, obtenidos del archivo de configuración YAML (especialmente dataset_name_or_id) y de los argumentos CLI/kwargs, se concatenan en una cadena de comandos sin comillas ni validación, y luego se pasan a subprocess con shell=True, lo que hace que los metacaracteres del shell (por ejemplo, ';' en Linux o '&' en Windows) sean interpretados. Si un usuario carga y procesa un archivo de configuración malicioso — por ejemplo, instanciando nnUNetV2Runner con el YAML malicioso e invocando un trabajo de entrenamiento/validación como train_single_model() — se ejecutan comandos arbitrarios con los privilegios del usuario que está ejecutando el trabajo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.